Đồ án Tổng quan về bảo mật hệ thống và công nghệ mạng riêng ảo (Virtual Private Network - VPN)

ức đóng gói, tách gói IP, là truyền đi trên chỗ kết nối điểm tới điểm từ máy này sang máy khác. PPTP đóng các gói tin và khung dữ liệu của giao thức PPP vào các gói tin IP để truyền qua mạng IP. PPTP dùng kết nối TCP để khởi tạo và duy trì, kết thức đường hầm và dùng một gói định tuyến chung GRE để đóng gói các khung PPP. Phần tải của khung PPP có thể được mã hoá và nén lại. PPTP sử dụng PPP để thực hiện các chức năng thiết lập và kết thức kết nối vật lý, xác định người dùng, và tạo các gói dữ liệu PPP. PPTP có thể tồn tại một mạng IP giữa PPTP khách và PPTP chủ của mạng. PPTP khách có thể được đấu nối trực tiếp tới máy chủ thông qua truy nhập mạng NAS để thiết lập kết nối IP. Khi kết nối được thực hiện có nghĩa là người dùng đã được xác nhận. Đó là giai đoạn tuy chọn trong PPP, tuy nhiên nó luôn luôn được cung cấp bởi ISP. Việc xác thực trong quá trình thiết lập kết nối dựa trên PPTP sử dụng các cơ chế xác thực của kết nối PPP. Một số cơ chế xác thực được sử dụng là: Giao thức xác thực có thử thách bắt tay CHAP (Challenge Handshake Authentication) : Giao thức xác thực mật khẩu CHAP cũng được thiết kế tương tự như giao thức PAP nhưng CHAP là giao thức bảo mật hơn, sử dụng phương pháp bắt tay ba chiều để hoạt động và chống lại các tấn công quay lại bằng cách sử dụng các giá trị bí mật duy nhất và không thể đoán và giải được. Giao thức xác định mật khẩu PAP (Password Authentication Protocol) : Giao thức xác thực mật khẩu PAP được thiết kế một cách đơn giản cho một máy tính tự xác thực đến một máy tính khác khi giao thức điểm – điểm (Point-to-Point Protocol) được sử dụng làm giao thức truyền thông. PAP là một giao thức bắt tay hai chiều để hoạt động. PAP không bảo mật bởi vì thông tin xác thực được truyền đi rõ ràng và không có gì bảo mật chống lại tấn công trở lại hay lặp lại quá nhiều bởi những người tấn công. Khi PPP được thiết lập kết nối, PPTP sử dụng quy luật đóng gói của PPP để đóng gói các gói truyền trong đường hầm. Để có thể dựa trên những ưu điểm của kết nối tạo bởi PPP, PPTP định nghĩa hai loại gói là điểu khiển và dữ liệu, sau đó gán chúng vào hai kênh riêng là kênh điều khiển và kênh dữ liệu. PPTP tách các kênh điều khiển và kênh dữ liệu thành những luồng điều khiển với giao thức điều khiển truyền dữ liệu TCP và luồng dữ liệu với giao thức IP. Kết nối TCP tạo ra giữa các máy khách và máy chủ được sử dụng để truyền thông báo điều khiển. Các gói dữ liệu là dữ liệu thông thường của người dùng. Các gói điều khiển được đưa vào theo một chu kì để lấy thông tin và trạng thái kết nối và quản lý báo hiệu giữa các máy khách PPTP và máy chủ PPTP. Các gói điều khiển cũng được dùng để gửi các thông tin quản lý thiết bị, thông tin cấu hình giữa hai đầu đường hầm. Kênh điều khiển được yêu cầu cho việc thiết lập một đường hầm giữa các máy khách và máy chủ PPTP. Máy chủ PPTP là một Server có sử dụng giao thức PPTP với một giao diện được nối với Internet và một giao diện khác nối với Intranet, còn phần mềm client có thể nằm ở máy người dùng từ xa hoặc tại các máy chủ ISP. Nguyên tắc kết nối điều khiển đường hầm theo giao thức PPTP Kết nối điều khiển PPTP là kết nối giữa địa chỉ IP của máy khách PPTP và địa chỉ máy chủ. Kết nối điều khiển PPTP mang theo các gói tin điều khiển và quản lý được sử dụng để duy trì đường hầm PPTP. Các bản tin này bao gồm PPTP yêu cầu phản hồi và PPTP đáp lại phản hồi định kỳ để phát hiện các lỗi kết nối giữa các máy trạm và máy chủ PPTP. Các gói tin của kết nối điều khiển PPTP bao gồm tiêu đề IP, tiêu đề TCP và bản tin điều khiển PPTP và tiêu đề, phần cuối của lớp liên kết dữ liệu. Hình 2.1 Gói dữ liệu kết nối điều khiển PPTP Nguyên lý đóng gói dữ liệu đường hầm PPTP Đóng gói khung PPP và gói định tuyến chung GRE Dữ liệu đường hầm PPTP được đóng gói thông qua các mức được mô tả theo mô hình. Hình 2.2 Mô hình đóng gói dữ liệu đường hầm PPTP Phần tải của khung PPP ban đầu được mã hoá và đóng gói với tiêu đề PPP để tạo ra khung PPP. Khung PPP sau đó được đóng gói với phần tiêu đề của phiên bản giao thức GRE sửa đổi. GRE là giao thức đóng gói chung, cung cấp cơ chế đóng gói dữ liệu để định tuyến qua mạng IP. Đối với PPTP, phần tiêu đề của GRE được sửa đổi một số điểm đó là. Một trường xác nhận dài 32 bits được thêm vào. Một bits xác nhận được sử dụng để chỉ định sự có mặt của trường xác nhận 32 bits. trường Key được thay thế bằng trường độ dài Payload 16 bits và trường chỉ số cuộc gọi 16 bits. Trường chỉ số cuộc gọi được thiết lập bởi máy trạm PPTP trong quá trình khởi tạo đường hầm. Đóng gói IP Trong khi truyền tải phần tải PPP và các tiêu đề GRE sau đó được đóng gói với một tiêu đề IP chứa các thông tin địa chỉ nguồn và đích thích hợp cho máy trạm và máy chủ PPTP. Đóng gói lớp liên kết dữ liệu Để có thể truyền qua mạng LAN hay WAN thì gói tin IP cuối cùng sẽ đựơc đóng gói với một tiêu đề và phần cuối của lớp liên kết dữ liệu ở giao diện vật lý đầu ra. Như trong mạng LAN thì nếu gói tin IP đựơc gửi qua giao diện Ethernet, nó sẽ được gói với phần tiêu đề và đuôi Ethernet. Nếu gói tin IP được gửi qua đường truyền WAN điểm tới điểm nó sẽ được đóng gói với phần tiêu đề và đuôi của giao thức PPP. Sơ đồ đóng gói trong giao thức PPTP Quá trình đóng gói PPTP từ một máy trạm qua kết nối truy nhập VPN từ xa sử dụng modem được mô phỏng theo hình dưới đây: Hình 2.3 Sơ đồ đóng gói PPTP Các gói tin IP, IPX, hoặc khung NetBEUI được đưa tới giao diện ảo đại diện cho kết nối VPN bằng các giao thức tương ứng sử dụng đặc tả giao diện thiết bị mạng NDIS. NDIS đưa gói tin dữ liệu tới NDISWAN, nơi thực hiện việc mã hoá và nén dữ liệu, cũng như cung cấp tiêu đề PPP phần tiêu đề PPP này chỉ gồm trường mã số giao thức PPP không có trường Flags và trường chuổi kiểm tra khung (FCS). Giả định trường địa chỉ và điều khiển được thoả thuận ở giao thức điều khiển đường truyền (LCP) trong quá trình kết nối PPP. NDISWAN gửi dữ liệu tới giao thức PPTP, nơi đóng gói khung PPP với phần tiêu đề GRE. Trong tiêu đề GRE, trường chỉ số cuộc gọi được đặt giá trị thích hợp xác định đường hầm. Giao thức PPTP sau đó sẽ gửi gói tin vừa tạo ra tới TCP/IP. TCP/IP đóng gói dữ liệu đường hầm PPTP với phần tiêu đề IP sau đó gửi kết quả tới giao diện đại diện cho kết nối quay số tới ISP cục bộ NDIS. NDIS gửi gói tin tới NDISWAN, cung cấp các tiêu đề và đuôi PPP. NDISWAN gửi khung PPP kết quả tới cổng WAN tương ứng đại diện cho phần cứng quay số. Nguyên tắc thực hiện gói tin dữ liệu tại đầu cuối đường hầm PPTP Khi nhận được được dữ liệu đường hầm PPTP, máy trạm và máy chủ PPTP, sẽ thực hiện các bước sau: Xử lý và loại bỏ gói phần tiêu đề và đuôi của lớp liên kết dữ liệu hay gói tin. Xử lý và loại bỏ tiêu đề IP. Xử lý và loại bỏ tiêu đề GRE và PPP. Giải mã hoặc nén phần tải tin PPP. Xử lý phần tải tin để nhận hoặc chuyển tiếp. Một số ưu nhược điểm của PPTP Ưu điểm: Được thiết kế để hoạt động ở lớp 2 trong khi IPSec chạy ở lớp 3 của mô hình OSI. Việc hỗ trợ truyền dữ liệu ở lớp 2, PPTP có thể lan truyền trong đường hầm bằng các giao thức khác IP trong khi IPSec chỉ có thể truyền các gói tin IP trong đường hầm. Nhược điểm: Khó khăn lớn nhất gắn kèm với PPTP là cơ chế yếu kém về bảo mật do nó dùng mã hóa đồng bộ trong khóa được xuất phát từ việc nó sử dụng mã hóa đối xứng là cách tạo ra khóa từ mật khẩu của người dùng. Điều này càng nguy hiểm hơn vì mật khẩu thường gửi dưới dạng phơi bày hoàn toàn trong quá trình xác nhận. Giao thức tạo đường hầm kế tiếp (L2F) được phát triển nhằm cải thiện bảo mật với mục đích này. 2.1.2. Giao thức chuyển tiếp lớp hai (L2F) Giao thức L2F được nghiên cứu và phát triển sớm nhất và là một trong những phương pháp truyền thống để cho người sử dụng ở truy nhập từ xa vào mạng các doanh nghiêp thông qua thiết bị. L2F cung cấp các giải cho dịch vụ quay số ảo bằng thiết bị một đường hầm bảo mật thông qua cơ sở hạ tầng công cộng như Internet. Nó cho phép đóng gói các gói tin PPP trong khuôn dạng L2F và định đường hầm ở lớp liên kết dữ liệu. Nguyên tắc hoạt động của L2F Giao thức chuyển tiếp L2F đóng gói những gói tin lớp 2, sau đó trong truyền chúng đi qua mạng. Hệ thống sử dụng L2F gồm các thành phần sau: Máy trạm truy nhập mạng NAS: hướng lưu lượng đến và đi giữa các máy khách ở xa và Home Gateway. Đường hầm: định hướng đường đi giữa NAS và Home Gateway. Một đường hầm gồm một số kết nối. Kết nối: Là một kết nối PPP trong đường hầm. Trong LCP, một kết nối L2F được xem như một phiên. Điểm đích: Là điểm kết thúc ở đâu xa của đường hầm. Trong trường hợp này thì Home Gateway là đích. Hình 2.4 Hệ thống sử dụng L2F Quá trình hoạt động của giao thức đường hầm chuyển tiếp là một quá trình tương đối phức tạp. Một người sử dụng ở xa quay số tới hệ thống NAS và khởi đầu một kết nối PPP tới ISP. Với hệ thống NAS và máy trạm có thể trao đổi các gói giao thức điều khiển liên kết. NAS sử dụng cơ sở dữ liệu cục bộ liên quan tới điểm tên miền để quyết định xem người sử dụng có hay không yêu cầu dịch vụ L2F. Nếu người sử dụng yêu cầu L2F thì quá trình tiếp tục, NAS thu nhận địa chỉ của Gateway đích. Một đường hầm được thiết lập từ NAS tới Gateway đích nếu giữa chúng có chưa có đường hầm nào. Sự thành lập đường hầm bao gồm giai đoạn xác thực từ ISP tới Gateway đích để chống lại tấn công bởi những kẻ thứ ba. Một kết nối PPP mới được tạo ra trong đường hầm, điều này có tác động kéo dài phiên PPP mới được tạo ra người sử dụng ở xa tới Home Gateway. Kết nối này được thiết lập theo một quy trình như sau. Home Gateway tiếp nhận các lựa chọn và tất cả thông tin xác thực PAP/CHAP như thoả thuận bởi đầu cuối người sử dụng và NAS. Home Gateway chấp nhận kết nối hay thoả thuận lại LCP và xác thực lại người sử dụng. Khi NAS tiếp nhận lưu lượng dữ liệu từ người sử dụng, nó đóng gói lưu lượng vào trong các khung L2F và hướng chúng vào trong đường hầm. Tại Home Gateway khung được tách bỏ và dữ liệu đóng gói được hướng tới mạng một doanh nghiệp hay người dùng. Khi hệ thống đã thiết lập điểm đích đường hầm và những phiên kết nối, ta phải điều khiển và quản lý lưu lượng L2F bằng cách. Ngăn cản tạo những đích đến, đường hầm và các phiên mới. Đóng và mở lại tất cả hay chọn lựa những điểm đích, đường hầm và phiên, có khả năng kiểm tra tổng UDP. Thiết lập thời gian rỗi cho hệ thống và lưu giữ cơ sở dữ liệu vào các đường hầm kết nối. Một số ưu nhược điểm của L2F Ưu điểm: Nâng cao bảo mật cho quá trình giao dịch. Có nền tảng độc lập. Không cần những sự lắp đặt đặc biệt với ISP. Hỗ trợ một phạm vi rộng rãi các công nghệ mạng  như  ATM, IPX, NetBEUI, và Frame Relay. Nhược điểm: L2F yêu cầu cấu hình và hỗ trợ lớn. Thực hiện L2F dựa trên ISP. Nếu trên ISP không hỗ trợ L2F thì không thể triển khai L2F được. 2.1.3. Giao thức đường hầm lớp hai (L2TP) Giao thức định đường hầm lớp 2-L2TP (Layer 2 Tunneling Protocol) là một mở rộng của PPP. Đây là một bản thảo tiêu chuẩn của IETF xuất phát từ Cisco L2F và giao thức định đường hầm điểm – điểm của Microsoft. Tiêu chuẩn L2TP được hoàn tất vào cuối năm 1998. L2TP là một công nghệ chính của Cisco Access VPN cung cấp và phân phối phạm vi điều khiển bảo mật đầy đủ và các đặc điểm quản lý chính sách, bao gồm việc điều khiển bảo mật cho đầu cuối người dùng. Hình 2.5 Đường hầm L2TP Các thành phần chính của L2TP: Network Access Server (NAS): L2TP NASs là thiết bị truy cập điểm-điểm cung cấp dựa trên yêu cầu kết nối Internet đến người dùng từ xa, là những người quay số (thông qua PSTN hoặc ISDN) sử dụng kết nối PPP. NASs phản hồi lại xác nhận người dùng từ xa ở nhà cung cấp ISP cuối và xác định nếu có yêu cầu kết nối ảo. Giống như PPTP NASs, L2TP NASs được đặt tại ISP site và hành động như client trong qui trình thiết lập L2TP tunnel. NASs có thể hồi đáp và hỗ trợ nhiều yêu cầu kết nối đồng thời và có thể hỗ trợ một phạm vi rộng các client. L2TP Access Concentrator (LAC): Vai trò của LACs trong công nghệ tạo hầm L2TP thiết lập một đường hầm thông qua một mạng công cộng (như PSTN, ISDN, hoặc Internet) đến LNS ở tại điểm cuối mạng chủ. LACs phục vụ như điểm kết thúc của môi trường vật lý giữa client và LNS của mạng chủ. L2TP Network Server (LNS): LNSs được đặt tại cuối mạng chủ. Do đó, chúng dùng để kết thúc kết nối L2TP ở cuối mạng chủ theo cùng cách kết thúc đường hầm từ client của LACs. Khi một LNS nhận một yêu cầu cho một kết nối ảo từ một LAC, nó thiết lập đường hầm và xác nhận người dùng, là người khởi tạo yêu cầu kết nối. Nếu LNS chấp nhận yêu cầu kết nối, nó tạo giao diện ảo. Nguyên tắc hoạt động của L2TP: Khi một người dùng từ xa cần thiết lập một L2TP tunnel thông qua Internet hoặc mạng chung khác, theo các bước tuần tự sau đây: Bước 1: Người dùng từ xa gửi yêu cầu kết nối đến ISP’s NAS gần nhất của nó và bắt đầu khởi tạo một kết nối PPP với nhà ISP cuối. Bước 2: NAS chấp nhận yêu cầu kết nối sau khi xác nhận người dùng cuối. NAS dùng phương pháp xác nhận PPP như PAP, CHAP, SPAP, và EAP cho mục đích này. Bước 3: Sau đó NAS kích hoạt LAC, nhằm thu nhập thông tin cùng với LNS của mạng đích. Bước 4: Kế tiếp, LAC thiết lập một đường hầm LAC-LNS thông qua mạng trung gian giữa hai đầu cuối.Đường hầm trung gian có thể là ATM, Frame Relay, hoặc IP/UDP. Bước 5: Sau khi đường hầm đã được thiết lập thành công, LAC chỉ định một Call ID (CID) đến kết nối và gửi một thông điệp thông báo đến LNS. Thông báo xác định này chứa thông tin có thể được dùng để xác nhận người dùng. Thông điệp cũng mang theo LCP options dùng để thoả thuận giữa người dùng và LAC. Bước 6: LNS dùng thông tin đã nhận được từ thông điệp thông báo để xác nhận người dùng cuối. Nếu người dùng được xác nhận thành công và LNS chấp nhận yêu cầu đường hầm, một giao diện PPP ảo (L2TP tunnel) được thiết lập cùng với sự giúp đỡ của LCP options nhận được trong thông điệp thông báo. Bước 7: Sau đó người dùng từ xa và LNS bắt đầu trao đổi dữ liệu thông qua đường hầm. Hình 2.6 Mô tả quy trình thiết lập L2TP tunnel Quá trình đóng gói dữ liệu trong đường hầm L2TP Tương tự PPTP tunneled packets, L2TP đóng gói dữ liệu trải qua nhiều tầng đóng gói. Sau đây là một số giai đoạn đóng gói của L2TP data tunneling: PPP đóng gói dữ liệu không giống phương thức đóng gói của PPTP, dữ liệu không được mã hóa trước khi đóng gói. Chỉ PPP header được thêm vào dữ liệu payload gốc. L2TP đóng gói khung của PPP. Sau khi original payload được đóng gói bên trong một PPP packet, một L2TP header được thêm vào nó. UDP Encapsulation of L2TP frames. Kế tiếp, gói dữ liệu đóng gói L2TP được đóng gói thêm nữa bên trong một UDP frame. Hay nói cách khác, một UDP header được thêm vào L2TP frame đã đóng gói. Cổng nguồn và đích bên trong UDP header được thiết lập đến 1710 theo chỉ định. IPSec Encapsulation of UDP datagrams. Sau khi L2TP frame trở thành UDP đã được đóng gói, UDP frame này được mã hoá và một phần đầu IPSec ESP được thêm vào nó. Một phần đuôi IPSec AH cũng được chèn vào gói dữ liệu đã được mã hóa và đóng gói.   IP Encapsulation of IPSec-encapsulated datagrams. Kế tiếp, phần đầu IP cuối cùng được thêm vào gói dữ liệu IPSec đã được đóng gói. Phần đầu IP chứa đựng địa chỉ IP của L2TP server (LNS) và người dùng từ xa. Hình 2.7 Mô hình hoàn tất quá trình đóng gói dữ liệu qua đường hầm L2TP Đóng gói tầng Data Link. Phần đầu và phần cuối tầng Data Link cuối cùng được thêm vào gói dữ liệu IP xuất phát từ quá trình đóng gói IP cuối cùng. Phần đầu và phần cuối của tầng Data Link giúp gói dữ liệu đi đến nút đích. Nếu nút đích là nội bộ, phần đầu và phần cuối tầng Data Link được dựa trên công nghệ LAN (ví dụ, chúng có thể là mạng Ethernet). Ở một khía cạnh khác, nếu gói dữ liệu là phương tiện  cho một vị trí từ xa, phần đầu và phần cuối PPP được thêm vào gói dữ liệu L2TP đã đóng gói. Quá trình xử lý gói dữ liệu khi ra khỏi đường hầm L2TP Qui trình xử lý de-tunneling những gói dữ liệu L2TP đã tunnel thì ngược lại với qui trình đường hầm. Khi một thành phần L2TP (LNS hoặc người dùng cuối) nhận được L2TP tunneled packet, trước tiên nó xử lý gói dữ liệu bằng cách gỡ bỏ Data Link layer header and trailer. Kế tiếp, gói dữ liệu được xử lý sâu hơn và phần IP header được gỡ bỏ. Gói dữ liệu sau đó được xác nhận bằng việc sử dụng thông tin mang theo bên trong phần IPSec ESP header và AH trailer. Phần IPSec ESP header cũng được dùng để giải mã và mã hóa thông tin. Kế tiếp, phần UDP header được xử lý rồi loại ra. Phần Tunnel ID và phần Call ID trong phần L2TP header dùng để nhận dạng phần L2TP tunnel và phiên làm việc. Cuối cùng, phần PPP header được xử lý và được gỡ bỏ và phần PPP payload được chuyển hướng đến protocol driver thích hợp cho qui trình xử lý. Hình 2.8 Mô hình hoàn tất quá trình xử lý gói dữ liệu khi ra khỏi đường hầm L2TP 2.1.4. Giao thức đóng gói định tuyến chung (GRE) Giao thức mạng đa giao thức này đóng gói IP, CLNP và bất kỳ các gói dữ liệu giao thức khác vào bên trong các đường hầm IP. Với giao thức tạo đường hầm GRE, một Router ở mỗi điểm sẽ đóng gói các gói dữ liệu của một giao thức cụ thể vào trong một tiêu đề IP, tạo ra một đường kết nối ảo điểm-điểm tới các Router ở các điểm khác trong một đám mây mạng IP, mà ở đó tiêu đề IP sẽ được gỡ bỏ. Bằng cách kết nối các mạng con đa giao thức trong một môi trường Backbone đơn giao thức, đường hầm IP cho phép mở rộng mạng qua một môi trường xương sống đơn giao thức. Tạo đường hầm GRE cho phép các giao thức desktop có thể tận dụng được các ưu điểm của khả năng chọn tuyến cao của IP. GRE không cung cấp sự mã hoá và có thể được giám sát bằng một công cụ phân tích giao thức. 2.1.5. Giao thức bảo mật IP (IPSec) IPSec có nghĩa là Internet Protocol Security. Nó dùng để chỉ một bộ các giao thức (AH, ESP, FIP-140-1, v.v…) được phát triển bởi IETF (Internet Engineering Task Force ). IPSec cung cấp chức năng bảo mật tại lớp thứ ba trong mô hình OSI (lớp mạng). Hình 2.9 Vị trí của IPSec trong mô hình OSI Khi một cơ chế bảo mật mạnh được tích hợp vào IP, toàn bộ mạng sẽ được bảo mật vì mọi sự thông tin liên lạc phải thông qua lớp thứ ba (đây là lý do tại sao IPSec lại được xây dựng ở lớp thứ ba thay vì lớp thứ hai). Giao thức IPSec được phát triển cho phiên bản IP hiện tại là IP v4 và cho cả phiên bản sau của IP là IP v6. Giao thức này không chỉ tương thích với mạng IP mà còn đối với nhiều mạng khác nữa. Với IPSec, tất cả các ứng dụng chạy trên lớp ứng dụng của mô hình OSI khi truyền dẫn dữ liệu sẽ phụ thuộc và bị kiểm soát bởi lớp mạng. IPSec đã được tích hợp vào IP, tất cả các ứng dụng mạng có thể sử dụng nó mà không cần phải điều chỉnh gì hết. Tương tự như IP, IPSec trong suốt đối với người dùng, người dùng không cần quan tâm đến cách thức để nó họat động. Chức năng chính của IPSec: Xác thực và toàn vẹn dữ liệu: IPSec cung cấp một cơ chế mạnh để xác minh người gửi và xác định bất kỳ sự thay đổi dữ liệu trước đó của các gói tin bởi máy nhận. IPSec có cơ chế chống lại các công cụ của Hacker như spoofing, sniffing, denial of service. Tin cẩn: Giao thức IPSec mã hóa dữ liệu để ngăn ngừa những người dùng không hợp lệ truy xuất dữ liệu khi nó được truyền đi. IPSec cũng sử dụng cơ chế đường hầm để giấu địa chỉ IP của máy gửi và máy nhận. Giao thức IPSec sẽ mã hóa dữ liệu khi chúng được truyền qua mạng. Quản lý khóa: IPSec sử dụng giao thức third-party, Internet Key Exchange (IKE) để thống nhất một giao thức bảo mật và giải thuật mã hóa trước khi truyền thông. IPSec phân phối, theo dõi các khóa và cập nhật khi cần. Hai chức năng đầu tiên của IPSec-xác thực, toàn vẹn dữ liệu và tin cẩn được cung cấp bởi hai giao thức khóa của giao thức IPSec.Những giao thức này gồm có Authentication Header (AH) và Encapsulating Security Payload (ESP). Chức năng quản lý khóa thuộc về một giao thức khác. IPSec kế thừa dịch vụ này vì nó khá mạnh, giao thức này là IKE. Chế độ làm việc trong IPSec Có 2 chế độ làm việc trong IPSec: Chế độ giao vận (Transport mode): Chỉ có đoạn lớp giao vận trong gói là được xử lý. Chế độ đường hầm (Tunnel mode): Toàn bộ gói sẽ được xử lý cho mã hóa xác thực. Chế độ giao vận sử dụng cho cả cổng nối và host, cung cấp cơ chế bảo mật cho các lớp trên. Trong chế độ giao vận, AH được chèn vào sau tiêu đề IP và trước các giao thức lớp trên (TCP, UDP hay ICMP) hoặc trước bất kỳ tiêu đề IPSec đã được chèn vào trước đó. Trong chế độ đường hầm tiêu đề IP chứa địa chỉ nguồn và địa chỉ đích, trong khi bộ xuất tiêu đề IP chứa các địa chỉ IP khác (chẳng hạn như địa chỉ của cổng nối). AH bảo mật toàn bộ gói IP bao gồm cả bộ nhập tiêu đề IP. Hình 2.10 Chế độ đường hầm AH Bởi vì AH chỉ bảo mật chống lại việc thay đổi nội dung dữ liệu nên cần phải có phương tiện khác để bảo đảm tính riêng tư của dữ liệu. Trong chế độ đường hầm điều đó được thực hiện bằng cách mở rộng bảo mật nội dung tiêu đề IP đặc biệt là địa chỉ nguồn và địa chỉ đích. Mặc dù trong chế độ giao vận ESP bảo mật chống lại nghe trộm một cách có hiệu quả nhưng nó không bảo mật được toàn bộ lưu lượng. Một vụ tấn công tinh vi cũng có thể đọc được địa chỉ nguồn và địa chỉ đích sau đó sẽ phân tích lưu lượng để biết được phương thức truyền thông. Hình 2.11 Chế độ đường hầm ESP Chế độ đường hầm ESP cung cấp thêm các cơ chế bảo mật cho các gói bằng cách mã hóa toàn bộ gói dữ liệu. Sau khi toàn bộ nội dung dữ liệu (bao gồm tiêu đề gốc) đã được mã hóa, chế độ đường hầm ESP sẽ tạo ra một tiêu đề IP mới để định tuyến cho các gói dữ liệu từ bên gửi đến bên nhận. Để có thể áp dụng cả AH và ESP trong chế độ đường hầm hay chế độ giao vận, IPSec yêu cầu phải hỗ trợ được cho tổ hợp của chế độ đường hầm và chế độ giao vận. Điều này được thực hiện bằng cách sử dụng chế độ đường hầm để mã hóa và xác thực cá gói và tiêu đề của nó rồi gắn AH, ESP hoặc dùng cả hai trong chế độ giao vận để bảo mật cho tiêu đề mới được tạo ra. Cái chú ý đến là AH và ESP không được dùng chung trong chế độ đường hầm. Vì ESP đã có riêng tùy chọn xác thực, tùy chọn này nên sử dụng trong chế độ đường hầm khi các gói cần phải mã hóa và xác thực. Nguyên tắc hoạt động của IPSec: IPSec đòi hỏi nhiều thành phần công nghệ và phương pháp mã hóa. Hoạt động của IPSec có thể được chia thành 5 bước chính: Mục đích chính của IPSec là để bảo vệ luồng dữ liệu mong muốn với các dịch vụ bảo mật cần thiết. Quá trình hoạt động của IPSec như sau: Bước 1: Xác định luồng traffic cần quan tâm: Luồng traffic được xem là cần quan tâm khi đó các thiết bị VPN công nhận rằng luồng traffic bạn muốn gửi cần bảo vệ. Bước 2: IKE pha1. Giữa các đối tượng ngang hàng, một tập các dịch vụ bảo mật được thỏa thuận và công nhận. Tập dịch vụ bảo mật này bảo vệ tất cả các quá trình trao đổi thông tin tiếp theo giữa các hàng. Bước 3: IKE pha 2. IKE thỏa thuận các tham số SA IPSec và thiết lập “matching” các SA IPSec trong các hàng. Các tham số bảo mật này được sử dụng để bảo vệ dữ liệu và các bản tin được trao đổi giữa các điểm đầu cuối. Kết quả cuối cùng của hai bước IKE là một kênh thông tin bảo mật được tạo ra giữa các hàng. Bước 4: Truyền dữ liệu: Dữ liệu được truyền giữa các hàng IPSec trên cơ sở các thông số bảo mật và các khóa được lưu trữ trong SA database. Bước 5: Kết thúc đường hầm “Tunnel”: Kết thúc các SA IPSec qua việc xóa hay time out. Hình 2.12 Mô hình các bước hoạt động của IPSec Một số hạn chế của IPSec: Mặc dù IPSec đã sẵn sàng đưa ra các đặc tính cần thiết để đảm bảo thiết lập kết nối VPN an toàn thông qua mạng Internet, nó vẫn còn ở trong giai đoạn phát triển để hướng tới hoàn thiện. Sau đây là một số vấn đề đặt ra mà IPSec cần phải giải quyết để hỗ trợ tốt hơn cho việc thực hiện VPN: Tất cả các gói được xử lý theo IPSec sẽ bị tăng kích thước do phải thêm vào các tiêu đề khác nhau, và điều này làm cho thông lượng hiệu dụng của mạng giảm xuống. Vấn đề này có thể được khắc phục bằng cách nén dữ liệu trước khi mã hóa, song các kĩ thuật như vậy vẫn còn đang nghiên cứu và chưa được chuẩn hóa. IKE vẫn là công nghệ chưa thực sự khẳng định được khả năng của mình. Phương thức chuyển khóa thủ công lại không thích hợp cho mạng có số lượng lớn các đối tượng di động. IPSec được thiết kế chỉ để hỗ trợ bảo mật cho lưu lượng IP, không hỗ trợ các dạng lưu lượng khác. Việc tính toán nhiều giải thuật phức tạp trong IPSec vẫn còn là một vấn đề khó đối với các trạm làm việc và máy PC năng lực yếu. Việc phân phối các phần cứng và phầm mềm mật mã vẫn còn bị hạn chế đối với chính phủ một số quốc gia. 2.2. BẢO MẬT TRONG VPN 2.2.1. Tổng quan về an ninh mạng An toàn mạng: Mục tiêu của việc kết nối mạng là để nhiều người sử dụng, từ những vị trí địa lý khác nhau có thể sử dụng chung tài nguyên, trao đổi thông tin với nhau. Do đặc điểm nhiều người sử dụng lại phân tán về mặt vật lý nên việc bảo vệ các tài nguyên thông tin trên mạng, tránh sự mất mát, xâm phạm là cần thiết và cấp bách. An toàn mạng có thể hiểu là cách bảo vệ, đảm bảo an toàn cho tất cả các thành phần mạng bao gồm dữ liệu, thiết bị, cơ sở hạ tầng mạng và đảm bảo mọi tài nguyên mạng được sử dụng tương ứng với một chính sách hoạt động được ấn định và chỉ với những người có thẩm quyền tương ứng. An toàn mạng bao gồm : Xác định chính xác các khả năng, nguy cơ xâm phạm mạng, các sự cố rủi ro đối với thiết bị, dữ liệu trên mạng để có các giải pháp phù hợp đảm bảo an toàn mạng. Đánh giá nguy cơ tấn công của Hacke